Een maatregel zonder eigenaar en testdatum is een voornemen

Tussen weten wat er moet gebeuren en het aantoonbaar geregeld hebben, gaapt bij veel organisaties een stille kloof. Het behandelplan is vastgesteld, de goede bedoelingen zijn er, en een jaar later blijkt de helft te zijn blijven liggen. De fase Oplossen overbrugt die kloof met een eenvoudige regel: elke oplossing krijgt een eigenaar, een vorm en een datum.

Een maatregel zonder eigenaar en testdatum is een voornemen

Een beheersmaatregel wordt pas een maatregel wanneer iemand ervoor verantwoordelijk is en er een moment is waarop de werking wordt getest. Leg daarom per maatregel vast wat ze doet, wie de eigenaar is en wanneer de volgende effectiviteitstest plaatsvindt. De testfrequentie mag pragmatisch zijn; waar het om gaat, is dat "we hebben een back-up" verandert in "de laatste hersteltest was op deze datum en dit kwam eruit".

Beleid heeft een levenscyclus nodig

Beleid dat eenmaal is geschreven en daarna nooit meer bekeken, verliest ongemerkt zijn gezag én zijn waarde als bewijs. Geef elk document daarom een levenscyclus: een eigenaar stelt het op, een tweede persoon keurt het goed volgens het vier-ogenprincipe, en een reviewcyclus bepaalt wanneer het opnieuw wordt beoordeeld. Verstrijkt de reviewdatum, dan telt het document niet langer als actueel, en dat hoort zichtbaar te zijn.

Wat nog niet bestaat, wordt een project

Voor gaten waarvoor nog geen oplossing draait, is het project de juiste vorm. Een project heeft een eigenaar, een einddatum en een koppeling met de risico's of norm-eisen die het gaat afdekken. Zo blijft zichtbaar welke dekking al actief is en welke onderweg is, en bij oplevering wordt het project met één klik een actieve maatregel, inclusief alle koppelingen.

Accepteren mag, maar dan formeel

Niet elk risico hoeft te worden weggenomen; sommige accepteer je bewust. Doe dat dan wel formeel, met een uitzondering: een vastgelegde afwijking met een onderbouwing, een goedkeurder en een einddatum. De einddatum is het wezenlijke verschil met stilzwijgend gedogen, want ruim voor het verstrijken krijgen aanvrager en goedkeurder een herinnering om te verlengen, te vervangen of gecontroleerd te laten vervallen.

De bewaking doet daarna het werk

Zodra maatregelen, beleid, projecten en uitzonderingen hun data hebben, neemt de automatische bewaking het over: reviewcycli, effectiviteitstesten en verloopmeldingen leiden vanzelf tot taken en e-mails bij de juiste persoon. Daarmee wordt onderhoud geen kwestie van discipline meer, maar van ritme.